Comment une clé FIDO2 protège vos comptes crypto sans vous bloquer

Pour protéger ses comptes crypto avec une clé de sécurité FIDO2, on l’enregistre dans les paramètres de sécurité de chaque plateforme. À la connexion, la clé signe un défi lié au vrai domaine : un faux site de phishing n’obtient rien. Au 11 novembre 2026, Yubico recommande d’enregistrer une clé principale et une clé de secours ensemble. Gardez aussi vos codes de récupération hors ligne.

Comment une clé FIDO2 protège-t-elle un compte crypto contre le phishing ?

Une clé FIDO2 protège votre compte parce qu’elle ne répond qu’au site exact sur lequel elle a été enregistrée. Sur une copie de la page de connexion de votre plateforme, elle ne signe rien. Le mot de passe volé ne suffit donc plus à l’attaquant.

FIDO2 désigne un ensemble de standards ouverts d’authentification par cryptographie à clé publique. Il réunit WebAuthn, le dialogue entre le navigateur et le site, et CTAP, le dialogue entre la clé et votre ordinateur ou votre téléphone. D’après l’explication de WebAuthn et CTAP publiée par Corbado, la clé génère une paire de clés propre à chaque service. La clé publique est stockée par le site, la clé privée reste dans la puce.

À chaque connexion, le site envoie un défi. La clé le signe avec sa clé privée, puis le site vérifie la signature. Corbado souligne que l’identifiant n’est utilisable qu’avec le site ou l’application d’origine. C’est ce lien avec le domaine qui neutralise le phishing (hameçonnage), même avec une imitation parfaite.

Deux usages coexistent. En deuxième facteur, la clé s’ajoute à votre mot de passe. En passkey (clé d’accès), elle remplace le mot de passe, souvent avec un code PIN. Le site Informatec Digital distingue les identifiants détectables et non détectables. Les premiers occupent la mémoire de la clé. Les seconds sont recalculés à chaque usage et ne la saturent pas.

Quelle différence entre une clé FIDO2, le SMS et une application d’authentification ?

La clé FIDO2 est la seule des trois méthodes courantes qui vérifie l’adresse du site avant de répondre. Le SMS et l’application à codes restent utiles, mais un attaquant peut les détourner à distance.

Le SIM swap consiste à faire transférer votre numéro sur la carte SIM d’un escroc, qui reçoit alors vos codes. Le cabinet québécois Sequr cite aussi le vol de téléphone déverrouillé et la fatigue MFA parmi les failles des applications. La fatigue MFA désigne une avalanche de demandes de validation, jusqu’à ce que la victime en accepte une par erreur.

Le revendeur Holdtag décrit le scénario d’hameçonnage le plus courant sur les plateformes crypto. Un faux courriel signale une activité suspecte. La victime saisit son mot de passe et son code à six chiffres sur un faux site. L’escroc les réutilise aussitôt sur le vrai. Une clé FIDO2 interrompt cette chaîne.

Sans clé, l’option gratuite reste valable : une application d’authentification vaut nettement mieux que le SMS. Associez-la à un gestionnaire de mots de passe pour vos comptes crypto et votre e-mail, qui ne remplit pas vos identifiants sur un domaine inconnu.

Quelles plateformes crypto acceptent une clé de sécurité FIDO2 ?

Plusieurs grandes plateformes acceptent une clé FIDO2, mais pas toujours sur tous leurs supports. Yubico rappelle que chaque service décide lui-même s’il prend en charge les clés, et selon quelles modalités.

Le tableau de compatibilité YubiKey de Holdtag, mis à jour le 31 mars 2026, donne la situation suivante.

Ce tableau émane d’un revendeur et date de mars 2026. Vérifiez l’option directement dans les paramètres de sécurité de votre compte. Il ne vaut pas non plus recommandation : le statut MiCA de ces plateformes n’est pas établi ici. Contrôlez-le sur le registre de l’AMF, ou consultez notre comparatif MiCA des plateformes crypto en France. Rappelons qu’acheter des crypto-actifs expose à un risque de perte en capital, que votre compte soit bien protégé ou non.

Comment activer une clé de sécurité FIDO2 sur ses comptes crypto ?

On ajoute la clé depuis les paramètres de sécurité de chaque compte, puis on enregistre aussitôt la clé de secours. La procédure de configuration publiée par Yubico conseille de le faire sur un ordinateur, même si ce n’est pas obligatoire.

1. Préparez vos deux clés. Yubico recommande de configurer la principale et la secours en même temps.
2. Activez le NFC. Il est désactivé pour l’expédition : branchez la clé au moins trois secondes sur un port USB alimenté.
3. Ouvrez les paramètres de sécurité. Cherchez « vérification en deux étapes », « authentification à deux facteurs », « clé de sécurité » ou « passkey ».
4. Ajoutez la clé. Suivez les instructions du site et du navigateur, puis touchez la clé quand elle clignote.
5. Choisissez bien l’option. Pour une passkey, Yubico demande de sélectionner « clé de sécurité ». Sinon, la passkey risque d’être créée ailleurs, sans protection matérielle.
6. Définissez le code PIN FIDO2 si le service le demande. Yubico indique qu’il se gère dans l’application gratuite Yubico Authenticator.
7. Enregistrez la seconde clé sur le même compte, sans attendre.
8. Récupérez les codes de récupération proposés par le service et imprimez-les.
9. Testez. Déconnectez-vous puis reconnectez-vous : le service doit réclamer la clé.

Commencez par la boîte e-mail liée à vos plateformes. Celui qui la contrôle peut souvent réinitialiser le reste.

Comment conserver sa clé de secours et ses codes de récupération ?

Gardez la clé de secours dans un autre lieu que la clé principale, enregistrée sur exactement les mêmes comptes. Les codes de récupération, sur papier, forment une troisième ligne de défense.

Sequr propose une répartition en deux clés et des codes imprimés. La première reste sur le trousseau. La seconde va dans un coffre à domicile, un coffre bancaire ou chez un proche de confiance. Les codes servent si les deux clés disparaissent ensemble, lors d’un incendie ou d’un cambriolage.

• Yubico précise qu’une clé de secours peut avoir un autre format que la principale, à condition d’appartenir à la même série.
• À chaque nouveau compte, enregistrez les deux clés, pas seulement celle du trousseau.
• Après une perte, connectez-vous avec la secours, retirez la clé perdue de vos comptes, puis remplacez-la.

Ne confondez pas ces codes avec la phrase de récupération d’un portefeuille. Les codes rouvrent un compte de plateforme ; la phrase reconstitue vos clés privées. Notre article sur la différence entre clé privée et phrase de récupération détaille ce qu’il faut protéger.

Si vous choisissez la YubiKey 5 NFC comme clé principale, une seconde YubiKey de la série 5 peut servir de secours. Un second exemplaire du même modèle simplifie l’usage : mêmes connecteurs, mêmes gestes.

Quelles sont les limites d’une clé FIDO2 pour protéger ses cryptos ?

Une clé FIDO2 sécurise la connexion à un compte, pas les fonds eux-mêmes. Plusieurs failles subsistent si la configuration reste incomplète.

• Défaillance de la plateforme. Holdtag rappelle que les cryptos restent sur les serveurs de la plateforme. Si son infrastructure est piratée, aucune clé ne vous protège.
• Application mobile non compatible. Selon Holdtag, Binance n’accepte la clé que sur le web. Sur mobile, une autre méthode prend le relais et devient le maillon faible.
• Portefeuilles non dépositaires. Holdtag indique que MetaMask ne prend pas en charge FIDO2. La sécurité repose alors sur l’appareil, le navigateur et la phrase de récupération.
• Méthodes de secours trop faibles. Un SMS de récupération laissé actif rouvre la porte du SIM swap. Sequr conseille de le retirer quand le service le permet.
• Appareils de confiance. Yubico signale que certains services permettent de sauter la clé sur les appareils reconnus. Un ordinateur compromis profite alors de cette exemption.
• Perte sans secours. Selon Yubico, un compte bloqué impose de contacter le service. Holdtag précise que cette procédure passe généralement par une vérification d’identité.
• Arnaques sans connexion. La clé ne bloque pas un virement que vous faites vous-même vers un escroc, par exemple un faux support.

Pour la part que vous gardez hors plateforme, la protection relève d’un portefeuille, pas d’une clé FIDO2. Notre guide du meilleur portefeuille crypto, logiciel ou physique compare les options. Holdtag le résume ainsi : les deux outils sont complémentaires.

La YubiKey 5 NFC vaut-elle le coup pour sécuriser vos comptes crypto ?

La YubiKey 5 NFC vaut le coup si vous voulez une seule clé pour vos plateformes et des usages plus techniques. Pour la seule connexion aux plateformes, un modèle FIDO2 plus simple suffit.

Sa fiche produit annonce une connexion en USB-A ou en NFC et une certification FIDO. Yubico présente la série YubiKey 5 et ses protocoles : FIDO2/WebAuthn, U2F, carte à puce, OpenPGP et OTP. Elle fonctionne sans pile ni logiciel obligatoire, selon Yubico.

Elle convient si votre ordinateur a un port USB-A et votre téléphone le NFC. Elle convient aussi si vous voulez stocker des codes TOTP sur la clé via Yubico Authenticator, ou utiliser OpenPGP. Enfin, elle a du sens si vous protégez aussi messagerie, gestionnaire de mots de passe et comptes professionnels.

Elle ne convient pas si vous n’avez que des ports USB-C : un adaptateur ou la version 5C NFC sera nécessaire. Elle est aussi surdimensionnée pour la seule connexion aux plateformes. Yubico décrit la Security Key NFC, limitée à FIDO2 et U2F, certifiée IP68. Holdtag la juge suffisante pour protéger des plateformes et moins chère. Enfin, si vous n’achetez qu’une clé, mieux vaut garder votre application d’authentification que tout miser sur un objet unique.

Les avis divergent sur le modèle d’entrée. Informatec Digital oriente les débutants vers la Security Key C NFC, quand Sequr conseille la YubiKey 5C NFC par défaut. Pour se connecter à une plateforme, le mécanisme FIDO2 est le même sur ces modèles. Yubico ne précise pas, dans sa présentation de la série 5, combien de passkeys la clé peut stocker. Le prix évolue : consultez la fiche du produit. Notre fiche YubiKey contre le phishing sur vos comptes détaille les autres modèles.

Questions fréquentes

Sources consultées et vérifiées le 11 novembre 2026. Une erreur ? Écrivez-nous via la page contact.